Журналы аудита: скучная функция, от которой зависят государственные контракты

Журналы аудита редко кого-то воодушевляют. Но при проверке безопасности для государственного сектора именно по ним часто сверяют заявления поставщика с тем, что система действительно может подтвердить.

Что хотят знать проверяющие

В федеральном каталоге мер безопасности NIST SP 800–53 есть целая группа требований к аудиту и подотчётности, на которых основаны и профили FedRAMP. Практические вопросы просты: кто и к чему обращался? Когда и откуда? Что изменил? Можно ли это показать и доказать, что записи не подменяли?

Что это означает для голосового ИИ

Для голосовой системы полезная запись аудита должна показывать, о каком звонке идёт речь, что ответила система, на какой источник она опиралась, когда перевела звонок сотруднику и кто из работников позднее открывал запись или расшифровку. Такие данные позволяют отследить и проверить принятое решение — именно это нужно ведомству, если гражданин оспаривает сказанное ему.

Баланс с минимизацией данных

Чем больше событий записывается, тем больше данных накапливается. Мы уже писали, почему безопаснее хранить меньше. Решение — фиксировать события и доступ к данным, а не само содержимое. Например, записать, что расшифровку открыл такой-то сотрудник, но не копировать её текст в журнал. Хорошо спроектированный аудит подтверждает, что произошло, и при этом хранит минимум чувствительной информации.

Почему это нельзя добавить потом

Журналирование легко добавить кое-как, но почти невозможно — качественно. Если с самого начала события не фиксировались единообразно и защищённо от подмены, восстановить историю уже не из чего. На вопрос аудитора о прошлом квартале нельзя ответить журналами, которые ведутся только с сегодняшнего дня.

Такую функцию не выносят на главную страницу сайта. Но нередко именно от неё зависит, будет ли подписан контракт.

Oleksii Kocherev

CEO, Optima Voice

Голосовые AI-агенты для бизнеса, образования и государства

Оригинал статьи опубликован на Medium.